CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2024-5217

Krytyczna podatność RCE w ServiceNow Now Platform (input validation)

CVSS 9.2v4.0pub. 2024-07-10upd. 2025-11-03

W platformie ServiceNow Now Platform wykryto krytyczną lukę w walidacji danych wejściowych, umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE). Podatność jest aktywnie wykorzystywana w atakach i uzyskała ocenę CVSS 9.2.

▸ Pokaż oryginał (EN)

ServiceNow has addressed an input validation vulnerability that was identified in the Washington DC, Vancouver, and earlier Now Platform releases. This vulnerability could enable an unauthenticated user to remotely execute code within the context of the Now Platform. The vulnerability is addressed in the listed patches and hot fixes below, which were released during the June 2024 patching cycle. If you have not done so already, we recommend applying security patches relevant to your instance as soon as possible.

🤖 Analiza AI

Jak działa

Podatność wynika z niepełnej listy niedozwolonych danych wejściowych (CWE-184) oraz błędu w porównywaniu wartości (CWE-697), co prowadzi do niewystarczającej walidacji danych przekazywanych do platformy. Atakujący może spreparować odpowiednie żądanie sieciowe i bez konieczności uwierzytelniania doprowadzić do wykonania dowolnego kodu w kontekście aplikacji Now Platform. Luka dotyczy środowisk dostępnych przez sieć, a jej wykorzystanie nie wymaga żadnej interakcji ze strony użytkownika.

Skutki

Nieuwierzytelniony atakujący może zdalnie wykonać dowolny kod w kontekście platformy ServiceNow, co może prowadzić do pełnego przejęcia kontroli nad instancją, kradzieży danych lub dalszego kompromitowania środowiska.

Mitygacja

Należy niezwłocznie zastosować patche i hot fixy wydane przez ServiceNow w cyklu patchowania z czerwca 2024 r., opisane szczegółowo w artykułach KB1644293 i KB1648313 w portalu wsparcia ServiceNow. Producent zaleca zastosowanie odpowiednich poprawek dla posiadanej instancji jak najszybciej.

Kogo dotyczy

ServiceNow Now Platform w wydaniach Washington DC, Vancouver oraz wcześniejszych wersjach platformy (konkretne numery patchy i hot fixów wskazane w referencjach producenta)

Uwagi

Podatność jest notowana w katalogu CISA KEV jako aktywnie exploitowana. Cykl patchowania obejmujący poprawki dla tej luki został przeprowadzony przez ServiceNow w czerwcu 2024 r.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Servicenow
APP
Servicenow
utahvancouverwashington_dc

CISA KEV — szczegółyi

Dostawcai: ServiceNow
Produkti: Utah, Vancouver, and Washington DC Now Platform
Data dodania do KEVi: 29 lipca 2024
Termin remediation (USA)i: 19 sierpnia 2024(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Opis CISAi

ServiceNow Washington DC, Vancouver i wcześniejsze wydania Now Platform zawierają lukę polegającą na niekompletnej liście niedozwolonych danych wejściowych w skrypcie GlideExpression. Niezautentykowany użytkownik może wykorzystać tę lukę do zdalnego wykonania kodu.

tłumaczenie AI

▸ Pokaż oryginał (EN)

ServiceNow Washington DC, Vancouver, and earlier Now Platform releases contain an incomplete list of disallowed inputs vulnerability in the GlideExpression script. An unauthenticated user could exploit this vulnerability to execute code remotely.

🔴